Începând cu Power Automate pentru desktop versiunea 2.24, următoarele necesită privilegii administrative:
-
Modificarea entității găzduite la care este înregistrată o mașină.
-
Înregistrarea unei mașini asociate cu AAD la o entitate găzduită diferită de entitatea sa găzduită unită cu AAD.
De asemenea, mașinile pot fi configurate pentru a permite non-administratorilor să efectueze aceste operațiuni, așa cum este explicat mai jos.
Care sunt obiectivele acestor restricții?
Aceste restricții îngreunează încercarea actorilor rău intenționați de pe mașinile deja compromise să utilizeze Power Automate Desktop pentru a amplifica problema prin comanda și controlul unei mașini prin rețea.
Puteți utiliza noile setări de restricție pentru entități găzduite pentru a controla ce entități găzduite au permisiunea de a rula scripturi desktop Power Automate pe computerele dvs.
Înregistrarea inițială a mașinii nu necesită privilegii de administrator, dar modificarea restricțiilor de înregistrare o face.
Cum să vă înregistrați computerul la o altă entitate găzduită?
Vă recomandăm să definiți o listă de entități găzduite permise și să o adăugați la registry, așa cum se vede în secțiunea Se permite anumite entități găzduite.
Important:
-
Rularea aplicației Runtime a mașinii Power Automate sau a aplicației de înregistrare silențioasă ca administrator permite înregistrarea mașinilor, indiferent de configurațiile de registry de mai jos, în mod implicit.
-
Capacitatea de a înlocui restricțiile de modificare a entității găzduite rulând ca administrator poate fi dezactivată din registry:
-
Navigați la această tastă: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Creați o nouă valoare DWORD (Editare > valoare nouă > DWORD (pe 32 de biți) denumită DisableTenantChangeRegistrationAdminOverride
-
Setați valoarea la 1
Permiterea anumitor entități găzduite
Cel mai sigur și recomandat mod de a controla la ce entități găzduite sunt permise dispozitivele dvs. să se înregistreze este lista de entități găzduite de înregistrare allow-list. Computerul dvs. va permite întotdeauna înregistrarea la entitățile găzduite din lista de permisiuni și va refuza înregistrarea oricărei alte entități găzduite.
Important: Setarea listei de permisiuni va ignora setările AllowTenantSwitching și AllowRegisteringOutsideOfAADJoinedTenant descrise mai jos.
Pentru a defini această listă:
-
Rularea editorului de registry (regedit.exe)
-
Navigați la această tastă: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Crearea unei noi valori șir (Editare > valoare șir de > nouă) denumită AllowedRegistrationTenants
-
Faceți dublu clic pe noua valoare și setați câmpul său de date la o listă separată prin virgulă a ID-urilor entității găzduite la care computerul ar trebui să permită înregistrarea, cum ar fi: 3EF1d993-CBD4-4DEA-A50E-939AEDB23F21,5B19777D-814C-43F3-9317-CDBAD0846ED8
Ca alternativă, dacă nu este posibilă configurarea listei de permisiuni pentru entitatea găzduită, puteți urma opțiunile de mai jos pentru a activa înregistrarea între entități găzduite.
Permiterea înregistrării mașinii la o altă entitate găzduită decât entitatea găzduită AAD a computerului
-
Rularea editorului de registry (regedit.exe)
-
Navigați la această tastă: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Creați o nouă valoare DWORD (Editare > valoare nouă > DWORD (pe 32 de biți) denumită AllowRegisteringOutsideOfAADJoinedTenant
-
Faceți dublu clic pe noua valoare și setați câmpul său de date la 1. Orice altă valoare decât 1 dezactivează această setare.
Comutarea înregistrării mașinii la altă entitate găzduită
-
Rularea editorului de registry (regedit.exe)
-
Navigați la această tastă: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Creați o nouă valoare DWORD (Editare > valoare nouă > DWORD (pe 32 de biți) denumită AllowTenantSwitching
-
Faceți dublu clic pe noua valoare și setați câmpul său de date la 1. Orice altă valoare decât 1 dezactivează această setare.
Validarea înregistrării mașinii la pornirea serviciului
Restricțiile de înregistrare descrise mai sus se aplică doar atunci când încercați să înregistrați computerul. Începând cu versiunea 2.31, puteți configura Power Automate pentru desktop pentru a verifica dacă este permisă înregistrarea computerului curent atunci când pornește serviciul Power Automate (UIFlowService). Dacă înregistrarea nu este permisă, computerul nu se va putea conecta la serviciile cloud Power Automate.
Pentru a activa validarea continuă:
-
Rularea editorului de registry (regedit.exe)
-
Navigați la această tastă: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Creați o nouă valoare DWORD (Editare > valoare nouă > DWORD (pe 32 de biți) denumită EnforceRegistrationTenantRestrictionsOnServiceStart
-
Faceți dublu clic pe noua valoare și setați câmpul său de date la 1. Orice altă valoare decât 1 dezactivează această setare.
Găsirea ID-ului entității găzduite
Din portalul Power Automate
Conectați-vă la portalul Power Automate și apăsați Ctrl + Alt + A. Acest lucru va deschide un document în care puteți găsi ID-ul entității găzduite sub userInfo > tenantId.
Din portalul Aplicații Power
Conectați-vă la portalul Power Apps și, din setările (din stânga sus), alegeți Power Apps > detaliile sesiunii. Aceasta va afișa o fereastră pop-up cu ID-ul entității găzduite.
